Полный номер и CVC

По умолчанию через API видны только maskedPan (4466********1234) и срок действия expiry. Полный номер и CVC доступны только через отдельный reveal-endpoint.

Endpoint

GET /cards/:id/sensitive

Доступно только для карт в статусе assigned. Для остальных статусов возвращает 404 NOT_FOUND.

Нужно право cards.sensitive — выдавайте его только тем участникам и ключам, которым действительно нужно видеть реквизиты карт.

Пример

curl 'https://b2b.lumowallet.io/cards/8c7f1823-.../sensitive' \
  -H 'X-API-Key: YOUR_API_KEY'

Ответ

{
  "cardId": "8c7f1823-...",
  "cardNumberFull": "4466123412341234",
  "cardCvv": "123",
  "expiry": "03/29"
}

Как работает

Полный номер и CVC отдаются только этим эндпоинтом — в остальных ответах и вебхуках их нет.
Каждый показ логируется на сервере с указанием компании и карты.
Отдельного ограничения частоты нет, но злоупотребление — повод для блокировки.

UX-рекомендация

Не держите полный номер в UI дольше, чем нужно. Наш личный кабинет показывает PAN + CVC в течение 30 секунд и автоматически скрывает. Рекомендуем повторить это в вашем интерфейсе.

Тестовый режим

Если у компании cardsTestMode = true, endpoint возвращает статичный тестовый набор:

{
  "cardId": "...",
  "cardNumberFull": "4111111111111111",
  "cardCvv": "123",
  "expiry": "12/29"
}